أمن الشبكات (الدرس الثاني)

الأمان على مستوى المستخدم:

هي أذونات لمستخدمين معينين لكيفية أستخدام موارد الشبكة.
ويعتبرأكثر أمان من المستوى المشترك بمراحل.

الأمان على المستوى المشترك:
هي تعيين كلمات مرور للموارد المشتركة المختلفة التي ينشئونها على الكمبيوترات لديهم .
لا يعطي الكثير من الحماية لأنه يمنح الجميع نفس كلمة المرور للوصول إلى موارد الشبكة . وميزة الأمان على المستوى المشترك أن أي مستخدم بغض النظر عن خبرته , يستطيع أن يتعلم كيف يعد كلمات مرور خاصة لموارده المشتركة , مما يقلل المتابعة المستمرة من مسئول الشبكة .

جدران الحماية : آليات الأمان التي تحدثنا عنها في الأعلى تهتم بأمان الشبكة داخلياً (local) , وهناك الكثير من الأخطار التي تهدد الشبكة الخاصة أو الداخلية . اتصالات الانترنت التي تتظمنها معظم الشبكات اليوم هي الباب الذي يمكن أن تنفذ منه هذه المخاطر.

جدار الحماية (Firewall): هو جهاز أو برنامج يصمم لحماية الشبكة من الجهات غير المسموح لها الوصول إليها .
مثلاً إذا كانت الشبكة متصلة بالانترنت , يجب أن يكون لديك أحد أشكل جدران الحماية لحمايتها من المتطفلين خارج نطاق الشبكة . وتستطيع استخدام الجدار الناري لحماية أجزاء من الشبكة من بقية الأجزاء الأخرى .
جدار الحماية (Firewall) هو في الحقيقة حاجز بين شبكتين يقيم كافة الإشارات الواردة ويقرر ما إذا كانت يجب السماح لها المرور إلى الشبكة الأخرى أم لا.
ويمكن أن يأخذ جدار الحماية عدة أشكال مختلفة لتقييم الإشارات الواردة إلى الشبكة :
1. جهاز جدار ناري يتظمن برنامج خاص يراقب الإشارات الواردة والصادرة.
2. برنامج يعمل على كمبيوتر عادي .

وقد كانت جدران الحماية معقدة جداً وباهظة الثمن وتستخدم فقط في الشبكات الأحترافية .
ويوجد الآن برامج حماية تزود مع أنظمة التشغيل ولاكن لا تكفي بشكل كامل لتأمين الشبكة من المخاطر الخارجية . وهناك أيضاً برامج مستقلة مجانية يمكن استخدامها بالشبكات الصغيرة أو لكمبيوتر شخصي يتصل بالانترنت .

أهم تقنيات جدران الحماية :
1. تصفية الحزم Filter ) Packet)
2. ترجمة عناوين الشبكة (( NAT
3. الملقم الوكيل

Filter) Packet) تصفية الحزم هو النوع الأساسي بين أنواع جدران الحماية, ويعمل بطريقة فحص الحزم التي تصل إلى واجهاته ويقرر ما اذا كان سيسمح لها بالوصول إلى الشبكة الأخرى اعتماداً على معلومات يجدها في ترويسات البروتوكولات المستخدمة لبناء الحزم. ويمكن تصفية الحزم على أي طبقة من طبقات OSI المرجعي . ويمكن ان يتسبب في نظام التصفية في إبطاء سرعة الشبكة بشكل ملحوظ . ولابد من تطوير مستمر لجدران الحماية لأن وسائل تتطور للتغلب على التكوينات القياسية لعامل تصفية الحزم .

سمات تصفية الحزم :
1. العناوين الجهازية hardware addresses : تصفى الحزم على حسب العناوين الجهازية كتمكين كمبيوترات معينة فقط من إرسال البيانات إلى الشبكة الأخرى .ولا يستخدم هذا النوع كثيراً لحماية الشبكات من الوصول إليها بشكل غير شرعي عن طريق الانترنت . ولاكن يمكن استخدام هذا التقنية في جدار حماية داخلي للسماح لكمبيوترات معينة فقط بالوصول إلى جزء معين من الشبكة .

2. عناوين IP IP addresses) ): يمكن استخدام تصفية عناوين IP للسماح فقط للإشارات الموجهة إلى أو الواردة من عناوين معينة بالمرور إلى الشبكة .

3. محددات البروتوكولات (Protocol Identifiers): تستطيع جدران الحماية تصفية الحزم بحسب البروتوكول الذي ولََََََََد المعلومات المحمولة ضمن مخطط IP بياني , مثل بروتوكول التحكم بالنقل TCP)) , بروتوكول المخططات البيانية للمستخدم (UDP) , أو بروتوكول رسائل التحكم بالانترنت (ICMP) .

4. أرقام المنافذ (Port Numbers): تستطيع جدران الحماية تصفية الحزم بحسب رقمي منفذي المصدر والوجهة المحددين في ترويسة طبقة النقل ضمن الحزمة .

ترجمة عناوين الشبكة (( NAT ))
وهي تقنية ترجمة عناوين الشبكة وتعمل على طبقة النقل وتحمي كمبيوترات الشبكة من المتطفلين الخارجين عبر الانترنت عن طريق حجب عناوين IP الخاصة بها . وبهذه الطريقة لا يستطيع المستخدمين الخارجيين رؤية الكمبيوترات عن طريق الانترنت . لكن هذا يعني أن أي كمبيوتر على الشبكة لا يستطيع إلا إرسال الإشارات إلى الانترنت لكنه لا يستطيع استلامها .

الملقمات الوكيلة :
وهي برامج تشبه موجهات (( NAT )) , وتعمل كوسيط بين العملاء على الشبكة الخاصة وبين موارد الإنترنت التي يريدون الوصول إليها وتستطيع الملقمات الوكيلة تخبئة المعلومات التي تصلها من الإنترنت , بحيث إذا طلب عميل آخر نفس المعلومات , يستطيع الملقم الوكيل تقديمها في الحال من مخبأه بدلاً من طلبها ثانية من ملقم الإنترنت . وتستخدم الملقمات الوكيلة لفرض القيود كثيرة على وصول المستخدمين إلى الإنترنت .

بروتوكولات الأمان:
هنالك عدد من قياسيات بروتوكولات الأمان تستخدمها التطبيقات وأنظمة التشغيل لحماية بياناتها أثناء الإرسال عبر الشبكة . وتطبق هذه البروتوكولات بشكل عام أنواعاً معينة من تقنيات تشفير البيانات .

IPSec:
هو مصطلح يبين سلسلة من القياسات غير النهائية التي نشرتها IETF وتعرف منهجاً لحماية البيانات أثناء نقلها عبر الشبكة المحلية باستخدام المصادقة والتشفير.ومعظم البروتوكولات الأمان التي تقوم بتشفير البيانات المنقولة عبر شبكة مصممة لاستخدام على الإنترنت أو لأنواع معينة من الإشارات .

يتكون IPSec من بروتوكولين مستقلين يقدمان مستويات مختلفة من الحماية .
1. بروتوكول AH (ترويسة المصادقة) يضمن مصداقية وسلامة عناوين IP
2. بروتوكول ESP (تغليف حمولة الأمان) ويقوم بتشفير البيانات.

وعند استخدام IPSec على شبكة محلية , يجب أن يدعمه النظامان المرسل والمستقبل . وتدعمه معظم أنظمة التشغيل الحديثة من أنظمة Windows أو UNIX .

(Respond only) Clintعميل استجابة فقط: يقوم هذا النهج بتكوين الكمبيوتر بحيث يستخدم IPSec فقط في حين يطلب كمبيوتر آخر استخدامه .

Secure Server (Require Security) : يقوم هذا النهج بتكوين الكمبيوتر بحيث يطلب استخدام IPSec في كافة الاتصالات . وسوف يتم رفض كافة محاولات الاتصال بكمبيوترات لا تدعم IPSec .

Server (Require Security): ملقم يطلب استخدام IPSec في كافة الاتصالات , لاكن مع السماح باتصالات بدون IPSec حين يكون الكمبيوتر الآخر لا يدعمه .

L2TP (بروتوكول الأنفاق على الطبقة الثانية): يستطيع IPSec أن يعمل في وضع النفق لوحده أو بالتعاون مع L2TP . ينشئ البروتوكول L2TP نفق عن طريق تغليف أطر PPP ضمن حزم UPD .

SSL (Sockets Layer Secure ): طبقة مآخذ التوصيل الآمنة وهو بروتوكول صمم لحماية البيانات التي يتم نقلها بين ملقمات الوب والمستعرضات العميلة لها . جميع مستعرضات الوب تدعم حالياً SSL . فحين تتصل بموقع على الإنترنت وتريد أن تتأكد ما اذا كان هذا الموقع محمي أذا ظهر في شريط العنوان https:// بدلاً من http:// , فهذا يعني تتصل بموقع محمي .

Kerberos: هو بروتوكول مصادقة تستخدمه عادة خدمات الدليل , مثل (Active Directory) , لتزويد المستخدمين بإمكانية تسجيل الدخول إلى الشبكة لمرة واحدة